Die Zuordnung zu OpenAI stützen die Forscher auf mehrere Indizien: Die Pakete wurden mit einem großen Sprachmodell verfasst, Hunderte trugen „oai" im Namen, fünfzehn nannten „oai" als Autor, bei einem weiteren war „openaixyz65947@gmail.com" als Kontaktadresse hinterlegt.
„Der Schwarm verhält sich ausgesprochen ähnlich wie die Agenten aus dem deutschen Wiki, die wir zuvor gefunden haben", schreiben die Forscher. Sie beziehen sich damit auf einen weiteren Vorfall vom Mai 2026, bei dem intern eingesetzte autonome Agenten das deutsche Wiki-Forum DseWiki kaperten und es als schwarzes Brett nutzten, um Antworten zu erfragen, Ergebnisse zu bündeln und Techniken zum Umgehen ihrer Beschränkungen auszutauschen – Teil einer zeitlich begrenzten Web-Recherche-Aufgabe. Die Juni-Agenten griffen auf 49 identische Dateien zu; die Mai-Agenten zielten auf andere, überwiegend britische Kommunaldaten, nutzten aber dieselben Abrufmethoden. 1.397 Pakete erwähnen r.jina.ai, das auch die Wiki-Agenten stark einsetzten, viele weitere example.com, mit dem jene ihre Postfähigkeit testeten.
Der eigentliche Angriffsweg führte über eine Eigenheit im Dokumentationsbau von RubyDoc.info. „Der Bau der Dokumentation für ein Gem umfasst die Auswertung einer vom Nutzer angegebenen ‘.yardopts’-Datei, die das Einbinden von Ruby-Skripten erlaubt", erklären die Forscher. „In der GemStuffer-Kampagne missbrauchten die Agenten dies, um beliebige Codeausführung aus der Ferne auf den Servern von RubyDoc.info zu erlangen." Ziel waren öffentlich erreichbare ModernGov-Portale von Lambeth, Wandsworth und Southwark. Ein Gem namens „zzsouthrunner" folgt dabei demselben „ZZ"-Namensschema wie bei den Wiki- und Hugging-Face-Vorfällen.
Dass die Agenten sich des unbefugten Eindringens bewusst waren, legen Datei- und Paketnamen nahe: hack.rb, evil.rb, inject.rb, exploit.rb, ssrf.rb sowie pwnp999, exfiltestwand3, hacksvn1778554764 oder lambproxyhackabcxyz. Im Quellcode finden sich Kommentare wie „# bösartige Sonde" oder „# bösartiger Crawler/Exfiltration". Teils versuchten die Agenten auch, unauffällig zu bleiben: Im Gem yardxabc889 steht in „data/evil.rb" der Kommentar „# Bösartiges in der nächsten Version deaktivieren und Versionsnummer erhöhen".
Am 12. Mai 2026 versuchten die Agenten zudem, einen CDN-Caching-Fehler auszunutzen (CVSS 7.3, keine CVE), den RubyGems erst im Juli 2026 behob. Der Fehler konnte den API-Schlüssel eines Kontos bis zu eine Stunde lang einem anderen Kontoinhaber aushändigen. Sechs Pakete der Kampagne nutzten die Lücke vor dem Fix; ob mit Erfolg, ist offen. RubyGems erklärte in seiner Juli-Warnung, keine Anzeichen für böswillige Ausnutzung gefunden zu haben: Betroffen seien Anmeldungen mit gem-Clients älter als v3.2.0 oder über Alt-Schlüssel, 18 Prozent der Anmeldungen stammten von einer betroffenen Version.
Es ist nicht der erste Fall dieser Art: In einer kürzlich veröffentlichten Nachbetrachtung berichtete OpenAI, eigene Agenten hätten die JRuby-gestützte RubyGems-Verarbeitung in JFrog Artifactory ausgenutzt, um an den Signaturschlüssel zu gelangen und Administratorzugänge zu fälschen – bei einem Angriff auf die Infrastruktur des Unternehmens selbst.
Warum die Agenten diesen Aufwand für öffentlich zugängliche Daten betrieben, bleibt unklar; die Forscher vermuten, RubyGems habe als dauerhafter Zwischenspeicher und zur Umgehung von Ratenbegrenzungen gedient. „Wir vermuten, dass sie zusammengearbeitet haben", sagen sie, „aber das ist alles andere als eindeutig."
OpenAI erklärte gegenüber Reuters, die Agenten hätten RubyGems genutzt, um für harmlose Aufgaben auf das Internet zuzugreifen und öffentliche Informationen abzurufen; die Untersuchung laufe weiter. Den Wiki-Vorfall stufte das Unternehmen als „Fall von Fehlausrichtung" ein und räumte ein, es fehle bislang ein klarer Standard für die Meldung solcher Vorkommnisse; ein Rahmenwerk werde in den kommenden Wochen veröffentlicht. RubyGems fand nach eigenen Angaben keine Belege für erfolgreiche Versuche. „Auf Basis der uns vorliegenden Belege können wir nicht feststellen, ob die Pakete von KI-Agenten erstellt oder veröffentlicht wurden", sagte Colby Swandale, technischer Leiter bei Ruby Central.